Hackers exploram falhas PHP2Shell em gateways Check Point e implantam backdoor TSGA

Vulnerabilidades PHP2Shell e escalonamento de privilégio

Um ator de ameaça ainda não identificado tem aproveitado duas falhas em gateways Check Point Security. A primeira, conhecida como PHP2Shell, permite acesso inicial ao dispositivo por meio de um serviço web vulnerável. A segunda, CVE‑2026‑123039, é um erro de autorização que concede escalonamento de privilégio ao processo DynamicCLI, possibilitando a elevação ao usuário root após a execução de código local.

Campanha de ataque e alvos

De acordo com o relatório da Check Point, a campanha começou em 30 de outubro de 2026, focando inicialmente organizações israelenses. Uma segunda onda, em 2 de novembro, ampliou o alvo para entidades de diversos países e setores, sem padrão geográfico ou setorial aparente. Em ambas as fases, o atacante teria usado endereços IP da faixa 130.94.19[.]204 para explorar os gateways vulneráveis.

Backdoor TSGA e componente TSProxy

Após obter acesso via PHP2Shell, o invasor escalou privilégios com CVE‑2026‑123039 e implantou shells PHP persistentes. Sobre esses shells, foi instalado o backdoor TSGA, identificado como "slot_CPconfigdaemon". O TSGA inclui um módulo adicional chamado TSProxy, que injeta código em processos do appliance para interceptar conexões marcadas, permitindo acesso remoto criptografado, roubo de configurações, persistência por snapshots e manipulação de logs de firewall.

Uso de wiper destroy_v6 e mensagens políticas

Dois dias após a primeira invasão, o grupo moveu-se lateralmente para hosts VMware ESXi via SSH, autenticando‑se com a conta de serviço vpxuser. No ESXi, foi implantado o destruidor de arquivos "destroy_v6", um wiper ELF que varre diretórios, sobrescreve arquivos com zeros e os exclui. Em cada diretório afetado, o malware deixou um arquivo de texto intitulado "DREAM_ANNEXATION.txt", contendo mensagens de cunho político relacionadas ao conflito israelo‑palestino.

Relações com grupos de ameaça e incertezas

O backdoor TSGA e o TSProxy foram associados ao conjunto de ferramentas "PhiliKit", primeiro documentado pela ESET em junho de 2026 e atribuído ao grupo de espionagem cibernética chinês "Armory Castle" (anteriormente UNC5221). Indicadores como infraestrutura VPS da LightNode e horário de varredura entre 12 h e 9 h UTC reforçam a hipótese de envolvimento chinês, embora a Check Point ressalte que não há evidência conclusiva para confirmar a autoria.

Recomendações práticas para administradores

Organizações que utilizam os produtos Check Point listados (Force Firewalls, Management and Log Servers, Multi‑Domain Security Management, Maestro Orchestrator) nas versões R81 a R82.20 devem aplicar imediatamente os patches disponibilizados em outubro de 2026. Além disso, recomenda‑se:

• Desativar ou restringir o serviço web que expõe PHP2Shell.

• Verificar a presença de sockets DynamicCLI não autorizados e remover quaisquer arquivos de configuração suspeitos.

• Auditar contas de serviço, especialmente vpxuser, e revogar credenciais não utilizadas.

• Monitorar logs de SSH para tentativas de acesso ao ESXi a partir de endereços IP externos.

• Implementar deteções de criação de arquivos "destroy_v6" e de textos "DREAM_ANNEXION.txt".

Análise Técnica CyberX

O vetor inicial baseia‑se na exploração da vulnerabilidade PHP2Shell, que permite a execução de comandos arbitrários via requisição HTTP mal‑formada. Uma vez dentro, o atacante obtém credenciais de serviço que dão acesso ao processo DynamicCLI. CVE‑2026‑123039, classificado com CVSS 7.8 (segundo o comunicado da Check Point), permite que um usuário autenticado escreva diretamente no socket do DynamicCLI, resultando em escalonamento para root.

Com privilégios de administrador, o invasor instala shells PHP persistentes e, em seguida, o backdoor TSGA. O TSProxy funciona como um hook de rede que intercepta chamadas de socket, redirecionando tráfego marcado para canais criptografados controlados pelo atacante, sem interromper o fluxo legítimo. Essa técnica dificulta a detecção por ferramentas de inspeção de tráfego padrão.

O movimento lateral para o ESXi ocorre via SSH usando a conta de serviço vpxuser, que, segundo a documentação da VMware, possui permissões de gerenciamento de host. O wiper destroy_v6, escrito em ELF Linux, executa um algoritmo de sobrescrita de arquivos (zero‑fill) antes da exclusão, tornando a recuperação extremamente difícil.

Impactos confirmados incluem perda total de dados em diretórios alvo e comprometimento da integridade de logs de firewall, o que pode ocultar atividades posteriores. A confidencialidade também é afetada, pois o TSGA permite exfiltração de configurações e credenciais.

Mitigações recomendadas pela CyberX:

• Aplicar patches oficiais para PHP2Shell (CVE‑2026‑109618, CVE‑2026‑109619) e CVE‑2026‑123039.

• Isolar o serviço web vulnerável em VLAN separada e restringir acesso a IPs confiáveis.

• Habilitar autenticação multifator para contas de serviço privilegiadas.

• Implementar monitoramento de integridade de arquivos críticos (/etc/dynamiccli.socket, binários do gateway).

• Utilizar soluções de EDR que detectem injeção de bibliotecas via TSProxy.

Boletim SOC

Uma campanha ativa está explorando vulnerabilidades em gateways Check Point. Os ativos potencialmente afetados são:

• Check Point ForceFirewalls, Management/Log Servers, Multi‑Domain Security Management e Maestro Orchestrator nas versões R81, R81.10, R81.20, R82, R82.10 e R82.20.

Condições de exposição:

• Serviço web exposto à internet sem restrição de IP.

• Presença de contas de serviço com permissões de SSH para ESXi.

Técnicas observadas (MITRE ATT&CK):

• Initial Access – Exploit Public‑Facing Application (T1190) – PHP2Shell.

• Privilege Escalation – Exploitation for Privilege Escalation (T1068) – CVE‑2026‑123039.

• Persistence – Web Shell (T1100) – PHP shells.

• Defense Evasion – Modify Registry/Configuration (T1112) – TSProxy injection.

• Impact – Data Destruction (T1485) – destroy_v6 wiper.

Indicadores de comprometimento (ICOs) confirmados:

• Endereço IP de origem: 130.94.19.204.

• Nome de arquivo de wiper: destroy_v6.

• Arquivo de nota política: DREAM_ANNEXION.txt.

• Processo backdoor: slot_CPconfigdaemon.

Recomendações de monitoramento:

• Alertar para criação de sockets DynamicCLI não autorizados.

• Detectar uploads de arquivos ELF com nome "destroy_v6".

• Correlacionar tentativas de login SSH ao ESXi a partir de endereços externos.

Correções oficiais:

• Patches de segurança lançados em outubro de 2026 para as vulnerabilidades citadas.

Ações imediatas:

• Aplicar patches nos gateways vulneráveis.

• Bloquear tráfego HTTP para o serviço PHP2Shell a partir da internet.

• Revisar e revogar credenciais de serviço não essenciais.

Controles de longo prazo:

• Implementar segmentação de rede para appliances de segurança.

• Adotar monitoramento contínuo de integridade de arquivos críticos.

• Realizar avaliações de risco periódicas focadas em componentes de gerenciamento.

Perguntas frequentes